Die belgische Datenschutzbehörde (APD) hat das Einwilligungsverfahren auf Grundlage des „Transparency & Consent Framework (TCF)“ von IAB Europe und damit praktisch das Real-Time Bidding für Advertising für unwirksam erklärt.
IAB Europe ist ein europäischer Verband für digitales Marketing und Advertising mit ca. 1.200 Mitgliedern. Im Zuge der Gerichtsurteile zum Thema Cookies hat das IAB eigene Standards und Procedere zur Einholung von User-Einwilligungen entwickelt. Das wesentliche Verfahren hierzu nennt sich TCF. Dieses auf dem Open RTB Protokoll basierende Verfahren ist die Grundlage für Real- Time Advertising.
Um quasi eine Einwilligung vom Nutzer zu erhalten wird eine sog. Nutzeridentifikation (TC- String) verwendet. Diese wiederum hängt direkt an der IP- Adresse des Nutzers.
Die Bindung des TC- Strings an die IP- Adresse des Users funktioniert nur mit einer Einwilligung. Die Anforderungen an eine Einwilligung sind klar geregelt.
Einwilligungen müssen immer freiwilligund transparent sein. Die Beweislast trägt der Anbieter.
Im vorliegenden Fall entsprachen die Einwilligungen nicht dem Grundsatz. Der Argumentation der Aufsichtsbehörde zur Folge kann der Nutzer überhaupt nicht abschätzen in was er dort einwilligt. Zudem ist dem Nutzer gar nicht bewusst das seine Daten (IP-Adresse) zur Handelsware wird. Das ganze Procedere ist somit als intransparent und unwirksam eingestuft worden.
Zudem ist entschieden worden, dass es sich bei der Verarbeitung der Nutzeridentifikationsnummer um eine gemeinsame Verantwortlichkeit zwischen IAB und Publishern handelt.
Für die nicht vorhandenen Einwilligungen an sich und noch weitere Verstöße, wie z.B.
– Nichtbenennung eines Datenschutzbeauftragten,
– fehlendes Verarbeitungsverzeichnis,
– fehlende Datenschutzfolgeabschätzung,
– fehlende Vereinbarungen zur Auftragsdatenverarbeitung und
– mangelhafte Kontroll- und Sicherheitsmaßnahmen